Social Engineering: il Whaling

Ascolta “Social engineering: Whaling” su Spreaker.

Con whaling, dall’inglese whale (balena) si indica un phishing¹ nel quale si punta a far abboccare una figura di rilievo, un pesce grande appunto. Con tale tecnica si individua come vittima una figura di spicco in un’organizzazione per indurlo a condividere informazioni riservate o a pagare somme in favore dell’attaccante. 

Nell’alveo del whaling rientra anche il CEO fraud (frode all’Amministratore Delegato). Con particolare riferimento al financial cybercrime, secondo il “Rapporto CLUSIT 2019 sulla sicurezza ICT in Italia”, le incessantemente più evolute tecniche di hackeraggio, attraverso l’utilizzo di malware inoculati mediante tecniche di phishing, ampliano a dismisura i soggetti attaccati, soprattutto nell’ambito dei rapporti commerciali. Infatti lo scopo delle organizzazioni criminali è quello di intromettersi nei rapporti commerciali tra aziende dirottando le somme verso conti correnti nella disponibilità dei malviventi. Il BEC (Business Email Compromise) Fraud o CEO (Chief Exeutive Officer) Fraud sono la moderna applicazione della tecnica di attacco denominata “man in the middle”. 

Nella truffa nota come BEC, grazie alla tecnica dell’email spoofing², il cyber criminale chiede alla vittima di compiere un gesto specifico, che sia un trasferimento di denaro o l’accesso a informazioni riservate. La vittima probabilmente non si insospettisce, perché il messaggio non contiene allegati e proviene da una fonte autorevole, quindi esegue la richiesta, soprattutto se operazioni simili (tipo i bonifici bancari) avvengono già nell’organizzazione con le medesime modalità. 

Nella truffa detta The Man in the Mail, i cyber criminali violano la casella di posta del mittente o del destinatario attraverso tecniche di social engineering o attraverso il furto di credenziali, quindi si inseriscono nel flusso dell’organizzazione dopo averne studiato modalità operative e caratteristiche facendo in modo che i pagamenti finiscano sui loro conti correnti. Tale tipologia di truffa colpisce in particolare aziende che fanno import/export, in quanto il conto su cui viene dirottato il pagamento si trova all’estero. 

Secondo il “Rapporto CLUSIT 2019 sulla sicurezza ICT in Italia”, nonostante la difficoltà operativa di bloccare e recuperare le somme frodate, soprattutto perché inviate verso paesi extraeuropei (Cina, Taiwan, Hong Kong), nell’anno 2018 la Polizia Postale ha potuto bloccare e recuperare alla fonte su una movimentazione in frode di 38,4 milioni di euro circa 9 milioni di euro. Al riguardo, di rilievo è la recente operazione internazionale denominata “Emma4”, coordinata dal Servizio Polizia Postale con la collaborazione di 30 Paesi Europei e di Europol, volta a identificare i money mules³, primi destinatari delle somme provenienti da frodi informatiche e campagne di phishing, che offrono la propria identità per l’apertura di conti correnti e/o carte di credito sui quali vengono poi accreditate le somme illecitamente acquisite. L’operazione in parola ha consentito sul territorio nazionale di identificare 101 money mules di cui 50 arrestati e 13 denunciati. Le transazioni fraudolente sono state 320, per un totale di circa 34 milioni di euro, di cui circa 20 milioni euro sono stati bloccati e/o recuperati grazie alla piattaforma per la condivisione delle informazioni denominata “OF2CEN”, realizzata appositamente al fine di prevenire e contrastare le aggressioni criminali ai servizi di home banking e monetica. 

 ¹ Attraverso una tecnica di fishing (pesca) i cyber criminali cercano di indurre la vittima, attraverso comunicazioni per lo più a mezzo posta elettronica, a seguire le proprie istruzioni per collegarsi ad un sito internet clone dell’originale al fine di rilevare informazioni riservate quali ad esempio username, password, dati bancari e di carte di credito, per infettare il computer della vittima attraverso l’uso di malware o per indurre all’effettuazione di pagamenti indebiti.
² Inviare una email facendo apparire come mittente l’indirizzo corrispondente a un altro account.
³ Un money mule, chiamato anche smurfer, è una persona che trasferisce illegalmente denaro per conto di altri. Tipicamente, il money mule è pagato per i servizi con una piccola parte del denaro trasferito.

Bibliografia

• Rapporto CLUSIT 2019 
• Public collection: Phishing campaigns affecting Italian organisations XForce Exchange, 2018 
• Public collection: Phishing Campaign uses Hijacked Emails to Deliver URSNIF by Replying to Ongoing Threads XForce Exchange, 2018 

• New Reverse Proxy Tool Can Bypass Two-Factor Authentication and Automate Phishing Attacks SecurityIntelligence .com, 2019 
• CERT Nazionale italiano, Il malware “AVE_MARIA” diffuso in campagna di phishing ai danni di un’azienda italiana, https://www .certnazionale .it/ news/2019/01/14/il-malware-ave_maria-diffuso-in-campagna-di-phishing-ai-danni-di-unazienda-italiana/ 
• CERT-PA, Phishing: Finta notifica da parte di DHL,   https://www .cert-pa .it/notizie/phishing-finta-notifica-da-parte-di-dhl/